Uvid u industriju: kako bi vaša omiljena igraća tipkovnica mogla srušiti čitav posao

Ranije ovog mjeseca, napadom otkupnine WannaCry zaraženo je više od 300 000 osobnih računala Windows širom svijeta. Potrošnja ransomwarea zahtijevala je da zaražene tvrtke i pojedinci uplate 300 dolara kako bi otključali svaki stroj - kao i podatke pohranjene na svojim uređajima. Iako je WannaCry brzo zaustavljen, postoje još veće, zastrašujuće i nepoznate prijetnje koje mogu nanijeti veliku štetu vašem poslu.

Vjerojatno ste pročitali na desetke članaka o tome kako možete zaštititi svoju tvrtku i sebe, a vjerojatno ste se prijavili za pomoć softvera za zaštitu krajnjih točaka kako biste čuvali svoju tvrtku. Ali jeste li znali da čak i najnevidljiviji uređaji koji su priključeni na vašu mrežu mogu omogućiti hakerima da nanose veliku štetu vašem poslu?

Razgovarao sam s Yossi Appleboum, supredsjednikom tvrtke Sepio Systems, o tome što trebate znati o velikim napadima u industriji financijskih usluga, o tome što male kompanije za financijske usluge trebaju učiniti kako bi bile spremne i zašto bi periferni uređaji poput miševa i tipkovnica mogli biti glavna prijetnja vašem poslovanju.

PCMag: Koji je najgori slučaj, noćna mora u pogledu nekoga ili neke grupe koja provali u financijsku instituciju?

Yossi Appleboum (YA): Svaki put kad se podaci ugroze, to je scenarij noćne more, posebno kada je riječ o financijskim institucijama. Gubitak kontrole nad vlasničkim financijskim podacima dionika prijeti integritetu podataka i potencijalno preživljavanju dionika koji imaju monetarnu kožu u igri, ukorijenjenih u pretpostavci da će njihovi podaci uvijek biti sigurni. Što je još važnije, s financijskog stajališta, curenje ovih podataka prijeti sveobuhvatnim fiducijarnim odnosima - prošlosti, sadašnjosti i budućnosti.

Propuštanje podataka osobito je zastrašujuće jer često nije odmah jasan pokazatelj opsega kršenja i s njim povezanog rizika. To bi moglo biti malo poput krađe zapisa s jednog računa do šire krađe cjelovitih baza podataka u kojima su smještene ogromne količine osobnih podataka, poput kršenja podataka u panamskoj odvjetničkoj tvrtki u kojoj je procurilo više od 11 milijuna vlasničkih dokumenata.

Glavni službenici informacijske sigurnosti (CISO) financijskih institucija svjesni su opasnosti od curenja podataka i uvijek će im dati prioritet u svom beskrajnom popisu cyber prijetnji. Globalne financijske institucije troše stotine milijuna dolara godišnje u izgradnju višeslojnih sustava za sprečavanje gubitka podataka (DLP). Malo je CISO-a sposobno izgraditi neraskidive sustave koji štite čak i od najčešćih cyber napada. S druge strane jednadžbe, loši akteri podižu traku u složenim napadima, iskorištavajući propušteno vladino cyber oružje protiv civilnih ciljeva poput banaka.

Zločinci koriste strateško cyber oružje - uključujući manipulirani, svakodnevni hardver poput tipkovnica i drugih uređaja s ljudskim sučeljem (HID) - za postizanje komercijalnih ciljeva. Problem je što ovi alati za cyber napad mogu postojati u sustavima koje u potpunosti ne prepoznaju postojeći alati za cyber odbranu. Ovo je možda najstrašniji i najopasniji oblik špijunaže podataka: neotkriveni uređaji koji vade informacije ispod radara.

Ne postoji način da se "grah" odbaci nakon što ga prosipate. Jednom kada podaci procure, ne mogu se zaštititi retroaktivno. Stoga upravitelji podataka i CISO-ovi moraju ostati budni i raditi sve što je u njihovoj moći kako bi se osiguralo da se svi vektori nepropusno zatvore u svako doba, što uključuje svaku potencijalnu pristupnu točku u sustavu.

PCMag: S obzirom na ono što se već dogodilo, koje je najgore kršenje financijskih usluga u zemlji i kako se to dogodilo?

YA: "Najgore" bi ovisilo o tome koga pitate. Iz perspektive financijske institucije dolazi do većih kršenja poput kršenja JPMorgan Chase 2014. godine kada je cyber napad zahvatio čak 76 milijuna kućanstava i 7 milijuna malih poduzeća među svojom velikom mrežom dionika.

Međutim, iz perspektive pojedinog kupca, najgora je povreda ona koja je trajno promijenila njegov život i osjećaj financijske sigurnosti. Ovo je jedna od najvažnijih stvari koje treba imati na umu: nedovoljna zaštita od cyber napadača nepovratno može uništiti živote ljudi koji ovise o vama, čuvajući njihove podatke, kao i povjerenje i ugled cijele institucije.

Znakovito je napomenuti da su mnoga financijska kršenja kojima smo svjedočili jučerašnje krize. Dakako, mnogi kompromitirajući cyber-napadi koristili su neki oblik zlonamjernog softvera za pristup i izvlačenje informacija s mreže. No, zajednički nazivnik svih široko objavljenih kršenja pravila je da ih je netko otkrio. Neotkrivena istjecanja koja trenutno aktivno mogu izvlačiti podatke najveća su prijetnja sigurnosti podataka.

Jedan od naših kupaca, međunarodna banka, pronašao je mali hardverski uređaj povezan na njegovu mrežu skriven ispod stola. Ovaj je uređaj povezan s mrežom; međutim, tim za cyber sigurnost nije ga mogao vidjeti. Nijedan od postojećih alata nije ga osjetio niti je otkrio njegovo postojanje, ali on je ipak bio tamo, slanjem podataka na udaljeno mjesto putem mobilne veze. Nepoznata količina i vrsta podataka bili su ugroženi nepoznato razdoblje i nitko nije znao za nju. Danas, godinu dana nakon ovog šokantnog otkrića, službenici sigurnosti još uvijek gotovo ništa ne znaju o tome tko je podmetnuo uređaj i koliko je podataka uzeto.

Sljedeći veliki vektor napada doći će s hardverskih uređaja duhova. Zbog toga marljivo radimo na otkrivanju i ublažavanju tih napada.

PCMag: Što za manje tvrtke koje pružaju financijske usluge trebaju biti na oprezu u pogledu prijetnji, ulaznih točaka i uobičajenih pogrešaka?

YA: Manje financijske institucije su u mnogim slučajevima u većoj opasnosti od velikih. U većini slučajeva nemaju veliki sigurnosni tim i njihovi cyber sigurnosni sustavi su manje sofisticirani. Svjedoci smo, u nekim slučajevima, tvrtki za financijske usluge malih dimenzija koje za zaštitu svoje digitalne imovine koriste vatrozid pet godina i trogodišnji antivirusni softver. Ova je tvrtka upravljala ulaganjima nekih od najvećih osobnih računa u Sjedinjenim Državama.

Pretpostavka da je mala financijska institucija jednaka manjem riziku potpuno je obrnuta. Hedge fond koji upravlja nekoliko milijardi dolara obično je vrlo mala tvrtka. Obiteljski ured koji upravlja velikim osobnim novčanim računima slično je malo, što vrijedi za odvjetničku tvrtku u Panami koja je čuvala financijske tajne visokih svjetskih čelnika. Sve gore navedeno prekršeno je, a većina nije bila svjesna kršenja vrlo dugo; neki to još uvijek nisu svjesni.

Menadžeri ovih manjih tvrtki u mnogim slučajevima ne razumiju rizik koji preuzimaju, potencijalnu štetu za njihove tvrtke i, što je najvažnije, potencijalnu štetu za svoje kupce. Mnoge tvrtke vjeruju da njihova vrhunska softverska obrambena rješenja mogu pružiti vodonepropusni pečat sustava putem praćenja u stvarnom vremenu i prediktivne analitike. To može biti točno na strani softvera, ali ono što tipični CISO možda ne prepoznaje jest da je loš akter ugradio odvod izravno u hardversku infrastrukturu gdje se podaci izlijevaju godinama. Bilo koji upravitelj podataka ili stručnjak za cyber sigurnost reći će vam najvažnije mjesto za početak zaštite od ranjivosti, razumijevanje vaše postojeće infrastrukture. To znači da se čvrsto držite onoga što je povezano s vašom mrežom.

Najvažnije je zapamtiti da je svaka put do podataka potencijalna obveza. Bez obzira na veličinu, tvrtka koja pruža financijske usluge, poduzimanje potrebnih mjera opreza i popisivanje uređaja u sustavu mogu vam pomoći da ograničite svoju izloženost kako biste zaštitili svoje podatke.

PCMag: Obično ne povezujete tipkovnice, miševe i druge periferne uređaje kao ulazne točke za ovakve napade. Zašto bismo trebali biti zabrinuti zbog takvih uređaja?

YA: Razmislite o tome: Možete li na svoje korporativno računalo instalirati softver koji ste preuzeli s interneta? Vjerojatno ne. Ali možete li donijeti tipkovnicu izvana u svoj ured i povezati je? Vjerojatno da.

Ljudi su u pravu pretpostaviti da je nepoznati softver rizik. To je razlog zašto postoji mnogo sigurnosnih alata za nadgledanje i sprečavanje instalacije softvera u korporativno računalo od strane bilo koga osim IT osoblja. Ali, iz određenih razloga, hardverski uređaji nisu isti standard.

Cyber-napadi nastali softverom u većini su slučajeva ograničeni postojećim alatima za cyber odbranu, što znači da su svi alati od sigurnosne grupe krajnje točke do perimetričnih sigurnosnih i forenzičkih alata podešeni kako bi otkrili ulaznu točku i blokirali je. Međutim, jedna tipkovnica može napraviti više štete od većine zlonamjernog softvera u svijetu, eksfiltrirajući podatke tijekom dugog razdoblja.

Zamislite da IT stručnjak vaše organizacije šalje e-poštu cijeloj tvrtki u kojoj kaže da će organizacija već sutra primati potpuno nove tipkovnice. Koliki bi postotak vaših zaposlenika sljedeći dan vidio novu tipkovnicu na svom stolu i uključio je? 20 posto? 50 posto? 100 posto? Odgovor je, to je bliži 100 posto nego što itko želi priznati. Samo bi jedna osoba trebala instalirati jedan od tih uređaja kojim se manipuliralo radi izvlačenja informacija kako bi se ugrozio cijeli sustav.

Sada znamo da su mnogi alati koji su korišteni za infiltraciju i hakiranje globalnih financijskih centara zapravo ukradeni iz vladinih prototipa u zemljama širom svijeta. Na primjer, tipkovnice koje je prvotno razvila američka Agencija za nacionalnu sigurnost (NSA) radi praćenja pritisaka na tipke i prikupljanja podataka s mreža putem USB priključka na računalu, sada zlonamjerni hakeri koriste za dobivanje podataka za ucjene i napade ransomwarea.

Uz to, s rastom gadnih alata za hakiranje koji se prodaju na mračnom webu, najsavremenije tehnologije za prikupljanje zlonamjernih podataka sada mogu završiti u rukama hakera za nekoliko dana, bez jasnog načina za nadzor vlasti kupca, prodavatelja ili lokacije uređaja. To znači da najsofisticiraniji i najpriznatiji uređaji za prikupljanje podataka sada mogu postojati u bezbroj podatkovnih sustava, a da CISO-i uopće ne znaju za njih.

Ti su uređaji usporedivi s parazitskim kukcima poput krpelja ili ušiju. Oni su naizgled uobičajeni i bezopasni kada lebde okolo u vašoj općoj blizini. Međutim, teško ih je osjetiti kada se instaliraju u vaš sustav i mogu tamo neprimijećeno postojati kroz dulje vrijeme. Nadalje, oni predstavljaju veliku odgovornost i mogu učiniti nepovratnu štetu podacima i vašim dionicima.

PCMag: Bez konkretnog nagovaranja vaših usluga, kako tvrtke mogu osigurati da su one sigurne, posebno ako se u velikoj mjeri oslanjaju na povezane uređaje kako bi obavili svoj posao?

YA: Postoji puno elemenata koje nije moguće kontrolirati. Kao što sam već raspravljao, neograničeno digitalno tržište mračnog weba gotovo je nemoguće zaustaviti. Zbog anonimnosti kupaca i prodavača, besplatna trgovina svim hardverskim uređajima predstavlja neviđeni izazov za ostanak prividnih hakerskim prijetnjama koje utječu na sustave izvana.

Međutim, upravitelji podataka moraju kontrolirati prijetnje hakiranja koje potječu od hardvera. Ovo započinje opsežnom svješću svih hardverskih uređaja koji komuniciraju s vašim sustavom. Tradicionalno tehnološki službenici organizacija utvrđuju da imaju X broj krajnjih točaka koje se povezuju s Y brojem poslužitelja i vanjskih uređaja. U modernom ratnom okruženju za cyber odbranu, kritično je da oni idu dublje, na perifernu razinu.

Mrežne žice koje šalju informacije između dva uređaja treba u potpunosti pregledati, između svaka dva ruba, kroz sve priključne točke. Postoje uređaji koji na tim mjestima mogu presresti podatke i izvući ih na udaljeno mjesto bez prepoznavanja.

Da bi se sustavi spasili od ove vrste iznuđivanja, mreže velike za uređaje moraju se razvrstati češljem s finim zubima. CISO-ovi moraju učiniti sve što je u njihovoj moći kako bi osigurali integritet uređaja svojih sustava. Uvjeravanje da su vaši uređaji uistinu vaši - a ne zlonamjerno prikriveni hardver - najbolji je način obrane od cyber prijetnji hardverom.

Započnite s svjesnošću. Ne zanemarujte potencijalni rizik ovih nevinskih hardverskih uređaja. Prijetnja je stvarna i relevantna za sve nas.